40年前的1979年3月28日，由大都會愛迪生公司(Metropolitan Edison Company)運營的三里島核電站2號機組(TMI-2)發生了嚴重核事故。事故發生后，總統委員會進行了兩次主要調查，一次由卡特總統任命，第二次由核管理委員會(NRC)特別調查小組進行。兩次調查記錄了事故發生的詳細過程、設備可用性及故障，并分析了事故期間操作人員的行動、操作員培訓以及適用于事件的NRC程序。

1、事故根本原因

在此次事件中，工廠設計程序和設計師均負有不可推卸的責任，包括工廠的安全分析，也沒有進行有效的策劃。

在過去的40年里，針對三里島核事故已經發表了許多研究和論文，但沒有一篇涉及到核電站的設計過程或安全分析。

唯一一個專門解決核電站設計和事故責任的努力，還是大都會愛迪生公司對核電站設計者巴布科克和威爾科克斯(B&W)提起的訴訟。審判開始又很快結束，而且案件主要在庭外解決，法庭記錄還不對外公布。

在TMI-2事故發生的10多年前，B&W正在設計他們的第一座核電站。在安全系統的設計和電廠的安全分析中，出現了有兩個相對較小但十分重要的遺漏。后來發現，這個失誤是整個事故的根本原因。

如果在其間的幾年里只糾正其中一個，三里島核事故就可以避免。

TMI主要設計由B&W的公用事業采購廠和NRC審查，這期間遺漏仍然沒有被發現。這個遺漏就是，先導式安全閥(PORV)和PORV截止閥的安全作用沒有得到充分的認識，也沒有通知PORV的制造商閥門的安全功能，即在閥門暴露于事故負荷后必須能夠關閉。

此外，電廠的安全分析報告(SAR)沒有涉及“非常小的破裂引發冷卻劑損失事故(LOCA)”相關內容。

而且不幸的是，電站對PORV失效引發的事故響應與SAR中呈現的小破口事件響應非常不同。當時，沒人預料到這種情況。如今，當新型反應堆——如小型模塊堆——籌劃設計的時候，設計人員從TMI核事故經驗中學到了很多。

2、觸發事件

清潔冷凝水精處理器的操作員，使蒸汽發生器給水泵跳閘。然后觸發電廠安全系統，導致汽輪機跳閘。汽輪機不再從反應堆冷卻劑系統(RCS)排出熱量，RCS的溫度和壓力開始迅速上升，PORV按照設計打開。

給水泵關閉后，電廠安全系統開啟應急給水泵。由于維護錯誤，兩個應急給水截止閥(本應在核電站運行時打開)均關閉，因此沒有應急給水到達蒸汽發生器。關閉的閥門導致RCS的加熱速度比正常汽輪機運轉時快得多，并且PORV暴露在比正常情況更大的負荷下，很可能是嚴重的兩相流(蒸汽和水混合物)或排水。

因此，閥門關閉可能是造成事故的原因之一。不過文獻中沒有提到這種可能性。

隨著RCS壓力升高，反應堆保護系統關閉反應堆，之后RCS壓力下降。PORV本應關閉，但卻一直開著，核電站面臨LOCA。

顯而易見的問題是，“為什么PORV不能關閉?”

核電站設計者負有雙重責任。他們設計發電廠，不僅應能保證電廠正常運行發電，而且還應預想到，在發電廠壽命期間如果發生意外事件和假設事故狀況，能保證電廠的安全性。

設計中還必須識別具有操作功能和安全功能的系統部件，以可靠地執行這兩種功能。

PORV就是一個很好的例子，在電廠正常運行期間，PORV通過開啟和關閉以及從穩壓器排出蒸汽，將RCS壓力保持在規定限值以下。

異常事件期間，如TMI-2情況，PORV可能排放兩相流或水。因此，這個時候，閥門必須要發揮其應有的安全功能，即在兩相流或排水后關閉。顯然，TMI事件中，閥門安全功能已經失效，甚至可以說，PORV就沒有設想到安全功能。

閥門采購訂單沒有規定這一要求，閥門供應商也不知道閥門具有安全功能，并且在兩相流或排水后必須關閉閥門。

3、核安全設備分類失誤

設計師還負責將操作經驗納入其設計中。

在TMI-2事故之前，B&W電廠的PORV出現過七次未能關閉的情況。盡管有此記錄，但PORV本身沒有調整或更換。相反，還安裝了一個指示燈，以顯示PORV上游的截止閥是否收到關閉信號，但控制室內沒有跡象表明閥門已實際關閉。

在B&W設計的PWR中，PORV的開啟相對頻繁。反應堆堆芯的熱工水力設計比其他PWR堆芯更接近可接受的極限，蒸汽發生器二次側的含水量非常小，僅為其他一些PWR含水量的25%。

這些差異使系統對變化的反應更快。由于反應迅速，PORV的作用相對頻繁。更頻繁地使用PORV導致更頻繁的故障。TMI-2的PORV故障是B&W核電站的第八次，比其他反應堆設計的PORV故障高出一個數量級以上。

NRC對與安全相關的設備有具體要求。對于事故緩解至關重要的設備和其故障可能導致或加重事故的設備被視為“安全相關”設備。

卡在打開位置的PORV會導致RCS邊界破裂，導致LOCA。而在一些假定事故中，LOCA被認為是最嚴重的，因此受到特別關注。

核電站設計了三道屏障，以保護公眾免受放射性物質釋放的影響：燃料被封閉在一個密封的包殼內，反應堆堆芯在封閉的RCS內，RCS被一個安全殼建筑覆蓋。

在所有假定的事故中，只有一次——LOCA中——兩個屏障預計會損壞。在LOCA的情況下，事件本身會破壞RCS，預計事故后果會損壞部分燃料包殼。對公眾的保護被簡化為一個單獨的屏障，即安全殼。

此外，閥門故障比管道破裂更容易發生。因此，最有可能發生LOCA的是卡在打開位置的PORV。

令人驚訝的是，設計人員沒有將PORV確定為安全相關設備。設計由大都會愛迪生公司審查，并由NRC進行評估。兩方都未對PORV不被指定為安全相關提出意見。最終，NRC批準了施工許可證申請。

如果PORV被指定為安全相關設備，它將必須滿足可靠性要求，并在事故條件下進行測試。如果TMI-2 PORV已經過測試，它很可能不會通過。

事故發生后，閥門制造商表示，TMI-2 PORV很難在兩相流或水排放后關閉。如果PORV被指定為安全相關，它將被更換或返修。

未將PORV指定為安全相關的原因是PORV上游存在截止閥。如果PORV卡在打開位置，截止閥可以關閉，從而終止事故。因此，截止閥對于緩解PORV失效事故至關重要，并且必須也要考慮到安全相關設備范疇。

必須具有從卡在打開位置的PORV啟動的自動安全等級驅動，或者，如果啟動是手動的，則必須在控制室內提供安全等級位置指示，并有足夠的時間供操作員操作。

TMI-2不存在這兩種情況。PORV故障的后果是設計師的部分責任，沒有對工廠進行全面詳細的安全分析。

分析必須包括電廠可能發生的瞬態變化。瞬變分析必須表明，在這些事件之后，電廠繼續運行可以保證安全。電廠的安全分析還必須解決所有潛在事故，包括系統故障和電廠可能發生的操作員錯誤 。除非認為極不可能發生(嚴重事故)。

設計師有責任確定電廠設計的所有特定事故類型。對于水冷反應堆，其中一種事故類型是RCS LOCA。

4、破裂分析疏漏

對于TMI-2等PWR，NRC要求對RCS中的全部破裂進行分析，從RCS中最大管道的雙端破裂開始，直至補給水系統能夠承受的破裂尺寸。

不幸的是，設計中沒有注意到，如果閥門的排放區在假定事故范圍內，系統故障也包括閥門卡在打開位置。PORV就是在尺寸范圍內發生故障。完整的轉動范圍，也意味著所有可能的中斷位置。穩壓器頂部閥門卡在打開位置的后果，可能與較低標高處相同尺寸破裂的不同。

通常，在TMI事故之前，大破裂LOCA分析包括，RCS熱管段和冷管段的破裂尺寸，從雙端破裂到0.5平方英尺的破裂。

通常情況下，后果最嚴重的是大斷裂，小尺寸斷裂一般影響極小。小斷裂LOCA分析從0.5平方英尺下降到約0.1平方英尺。趨勢相同，較小的破裂有較輕的后果。

由于兩個原因，沒有對更小的斷裂進行分析：(1)計算機上的計算時間長，分析成本高;(2)趨勢已經確定。

相反，有人假設這一趨勢將繼續下降到所要求最小尺寸。此外，假設小斷裂LOCA分析與斷裂位置無關。因此，未在不同位置分析小于0.5平方英尺的斷裂，也未對小于0.1平方英尺的斷裂進行任何分析。